È stata individuata una vulnerabilità critica (CVE-2023-32154) nel sistema operativo RouterOS, utilizzato nei router MikroTik, che consente a un utente non autenticato di eseguire codice da remoto sul dispositivo inviando un annuncio router IPv6 (RA, Router Advertisement) appositamente formattato.
Il problema è causato dalla mancanza di una adeguata verifica dei dati in arrivo durante l'elaborazione delle richieste IPv6 RA (Router Advertisement), consentendo di scrivere dati al di fuori del buffer assegnato e di eseguire codice con privilegi di root. La vulnerabilità si manifesta nelle versioni MikroTik RouterOS v6.xx e v7.xx, quando le impostazioni per la ricezione dei messaggi IPv6 RA sono attivate ("ipv6/settings/set accept-router-advertisements=yes" o "ipv6/settings/set forward=no accept-router-advertisements=yes-if-forwarding-disabled").
La possibilità di sfruttare la vulnerabilità è stata dimostrata durante le competizioni Pwn2Own a Toronto, dove i ricercatori che hanno identificato il problema hanno ricevuto una ricompensa di $100.000 per un attacco a più fasi che ha compromesso l'infrastruttura, attaccando il router Mikrotik e utilizzandolo come base per attaccare altri componenti della rete locale (in seguito, gli attaccanti hanno ottenuto il controllo di una stampante Canon, di cui sono state rivelate anche le informazioni sulle vulnerabilità).
Le informazioni sulla vulnerabilità sono state inizialmente pubblicate prima che il produttore emettesse una patch (zero-day), ma ora sono disponibili aggiornamenti per RouterOS 7.9.1, 6.49.8, 6.48.7 e 7.10beta8 che risolvono la vulnerabilità. Secondo informazioni del progetto ZDI (Zero Day Initiative), che organizza la competizione Pwn2Own, il produttore è stato informato della vulnerabilità il 29 dicembre 2022. I rappresentanti di MikroTik affermano di non aver ricevuto alcuna notifica e di aver appreso del problema solo il 10 maggio, dopo l'invio di un avviso finale di divulgazione. Inoltre, nel rapporto sulla vulnerabilità si menziona che le informazioni sulla natura del problema erano state comunicate a un rappresentante di MikroTik in modo riservato durante la competizione Pwn2Own a Toronto, ma secondo MikroTik i dipendenti dell'azienda non hanno partecipato all'evento in alcun modo.
Fonte: opennet.ru
